数据泄漏

本文将解释为何杂乱无章的数据可能会导致你丢掉工作。

几个小故事告诉你敏感信息究竟有多么容易泄漏至公众视野

勒索软件开发者的新趋势，直接公布拒付赎金的公司机密信息。

医疗公司也有必要部署成熟的防御工具来抵御网络威胁

如今互联网上针对iCloud的谣言纷飞：据说有超过4000万的iCloud账号惨遭被盗。目前，我们正在等待更多的消息和确凿的证据以证实这一说法。如果证明确有其事的话，那现在就应该采取行动：检查iCloud账号设置—很可能将”救你一命”从而免遭劫难。

似乎只要系统脱机运行就能确保任何机密的安全：没有互联网，就没有数据泄露。然而，实际情况并非如此。很久以前各国情报机构所采用的远程数据传输技术目前被用于’商业’用户的频率逐年递增。如今，詹姆斯•邦德（007电影系列主角）用的间谍工具在现实生活中已无处不在。

有关告密者爱德华•斯诺登揭秘美国国家安全局事件又有了新消息，且内容极度令人震惊：NSA（美国国家安全局）及其英国的”合作伙伴”- GCHQ（英国政府通讯总部）据称对金雅拓的网络进行了病毒感染，同时还窃取了用于保护数以亿计SIM卡的加密密钥。 如此大规模地对SIM卡进行病毒感染不禁让人对全球蜂窝通讯系统的安全性打上了一个大大的问号。这并不意味着你的通讯正在受到监视，但真要监视的话只需一个按键即可实现。 如果你不了解金雅拓是什么公司的话，在这里我可以告诉你，这是一家移动设备SIM卡的生产厂商。据《经济学人》杂志报道，事实上，该厂商所生产的SIM卡数量远超世界其它任何的SIM卡厂商。 刊登在The Intercept上的文章最先发出了”指控”，该文章估计金雅拓每年生产大约20亿张SIM卡。联系一下其他方面的数据，目前全球人口达71.25亿；而移动设备估计有71.9亿台。据报道，金雅拓的总共450家客户中，其中不乏知名的移动服务提供商：Sprint、AT&T、Verizon和T-Mobile等。公司在全球85个国家拥有业务，并运营着40家生产基地。 SIM是”用户识别模块”的缩写。SIM卡就是插入你移动设备的小型集成电路。其中内含唯一的”国际移动用户识别码”（IMSI）以及一个加密的验证密钥。该密钥由一串数字组成，主要用来验证你的手机是否真的是你的。这就好比是登录密码配对，但由于完全基于硬件因此无法更改。 一旦拥有了这些密钥，网络攻击者即能够监视移动设备的语音通话和数据通讯，但前提条件是知道这些设备所装SIM卡的加密密钥。如果这些指控属实的话，这意味着NSA和GCHQ的确能够在全球范围监视大量的蜂窝网络和数据通讯，且无需任何理由和司法认定。 你可能经常听说非技术媒体谈论大量有关NSA所开展与元数据相关的活动，但诸如此类的泄漏事件以及被揭秘的受感染伪随机数发生器的的确确是个麻烦。元数据是一系列敏感信息，可以告诉你受害人的位置、联系人名单及其一切个人信息。针对SIM卡或加密协议的大规模攻击能让网络攻击者实实在在地看到—以纯文本形式—我们与他人通讯的所有内容。尽管许多内容可以从受害人的位置和设备交互信息推断而得，但纯文本形式的通讯内容却无从推断。正如上文所说，这些通讯内容都可以实时获取，根本无需进行任何的分析。 据报道，The Intercept将NSA前承包商所窃取的一份机密文件公之于众，其中NSA是这样说的：”[我们]成功将病毒植入多台[金雅拓]计算机，相信我们已掌控了该公司的整个网络…” 隐私和蜂窝通讯并非是我们唯一关心的问题。伴随而来的还有大量财务问题的产生。正如美国民权同盟成员-技术专家Chris Soghoian以及约翰•霍普金斯大学译码者Matthew Green在The Intercept的这篇文章内所注意到的，SIM卡设计并非只为了保护个人通讯。其设计还为了简化账单流程，以及在蜂窝网络刚开始使用的阶段防止用户对移动服务提供商进行欺诈。而在一部分的发展中国家中，大部分人使用的都是过时且防范薄弱的第二代蜂窝网络，许多用户依然依靠其SIM卡进行转账和微型金融服务操作，就如同广泛流行的M-PESA支付服务。 针对金雅拓的网络攻击可能会对全球通讯基础设施的安全性产生影响，而这些通讯基础设施对于移动设备以及安装在内的SIM卡的依赖性越来越高。 不仅仅只有发展中国家会产生经济问题：金雅拓还是芯片以及使用PIN码或EMV支付卡内微芯片的大型制造商，此类支付卡则是欧洲最主要的支付方式。这些支付卡同样也有被感染的可能性。据the Intercept报道，金雅拓所生产的芯片还被广泛应用于大楼门禁、电子护照、身份证以及某几款豪华汽车品牌（宝马和奥迪等）的钥匙。如果你的芯片和PIN码银行卡是由维萨、万事达、美国运通、摩根大通或巴克莱发行的话，那你支付卡内的芯片很有可能就是金雅拓所生产，而里面的加密密钥也可能已经被病毒感染。 尽管受到一系列的指控以及在所谓的秘密文件中也被谈及，作为当事方的金雅拓却坚决否认其网络安全已受到病毒的感染。 “不论是在运行SIM活动的基础设施，还是安全网络的其它部分，我们都没有发现任何黑客入侵的迹象，因此不会对诸如银行卡、身份证或电子护照在内的其他产品产生危害。我们每一个网络都单独分开，也从未与外部网络连接。”公司在其声明中这样说道。 然而，公司此前的的确确曾挫败过多起黑客入侵尝试，有理由相信是NSA和GCHQ所为。 该事件以及许多斯诺登所揭秘的内容有一个重要问题并未引起注意，那就是这份文件注明的日期是2010年。换句话说，这一所谓的SIM卡计划已经实施了5年的时间，而该技术也是在5年开始使用的，而5年已经到了一台计算机使用寿命的期限。 除了个人以外，SIM卡密钥受病毒感染的风险还会将我们所有人的个人隐私暴露在危险之下，如果斯诺登揭露的文件属实的话，这一网络攻击将导致各国与美国国际关系的交恶。还记得两个月前吗，我们中的许多”激进派”都对朝鲜政府黑客攻击索尼影业的事件是否属于战争行为不置可否？该网络攻击很有可能是朝鲜政府所为，但事实上幕后却可能另有他人，对电影工作室进行了攻击并将一些电影剧本和电邮内容公布到了互联网上。针对金雅拓的网络攻击可能会对全球通讯基础设施的安全性产生影响，而这些通讯基础设施对于移动设备以及安装在内的SIM卡的依赖性越来越高。

每年都有数百万人的数据惨遭外泄。其中大多数受害人经历了悲惨的遭遇：网络黑客将用户银行信息在地下网站出售导致公司不得不向其受影响客户支付巨额补偿金，而消费者同样遭受了资金损失。 在世界数据隐私日这天，我们将为你介绍几起2014年影响力最大的数据外泄事件。此外，我们加入了这些事件背后有关数据遭窃成本和企业声誉影响的有趣事实。 处于危险之中的零售商 整个2014年，大型零售网络始终忙于应付网络黑客，而这些黑客手中握有数百万客户的个人数据档案。 据有关方面称，有一个黑客小组在2014年总共入侵了三家大型零售网络：零售业巨头Target（700万用户档案遭窃，内容包括：银行信息、电话号码、邮箱地址以及其它数据）；大型化妆品供应商Sally Beauty（25,000份客户档案被窃）；大型家居装饰零售商Home Depot（包括5600万张银行卡和5300万封电邮在内的银行数据被盗）。 Sally Beauty数据外泄事件最终演变为了一场闹剧：黑客们自己也被其他狠狠地黑了一把。起先，这些被盗的数据在多个地下网站上被出售。但不久不知道是哪里冒出来的另一名黑客竟然将其中的一个地下网站给黑掉了，并在网站的主页上留下了几句话和一段《黑衣人》电影中的视频： 此外在2014年，人们讨论较多的还有另一起发生在零售行业内的私人数据外泄事件：易趣网的海量用户名和密码数据遭到泄露，影响了多达1.45亿名客户。最终，该事件中的受影响客户集体将易趣网告上法庭。据PC World报道，原告代表提出500万美元的索赔，还不包括利息和成本。 无一幸免 银行、网站、设备制造商、电信公司和政府机构—无一幸免。你肯定听说过Sony Pictures数据泄露事件以及2014年最轰动的好莱坞女星艳照门事件。在这里，我想要为你们介绍几起有代表性的事件。 网络黑客在全球范围入侵银行系统。在2014年1月，韩国信用评价公司（Korea Credit Bureau）的一名内部员工非法窃取2000万份客户银行数据，并将这些数据全部外泄。 银行、网站、设备制造商、电信公司和政府机构—无一幸免。 2月份，英国银行巴克莱不幸惨遭攻击：27,000份客户档案遭窃并在rogue City traders网站上出售。巴克莱银行的信誉因此而遭受巨大打击，不得不向数千名个人数据在黑市上被出售的客户支付补偿金。 6月份，摩根大通美国分行的8000万份客户私人数据也惨遭外泄。在长达数月的时间里，银行方面对此事始终三缄其口，直到2014年10月才被报道出来。 由于遭受了黑客重创导致2700万客户（占韩国总人口的80%）的数据遭泄露，韩国信用评价公司正在评估是否可以全部推翻并重新设计国家身份证号码计算机系统。 众多电信公司在2014年也同样举步维艰。French telecom group Orange在2014年1-3月两次遭到黑客入侵，导致130万用户数据被盗。更糟糕的是，这群黑客们还用病毒感染了公司的软件平台，该平台用于向同意接收的客户发送促销电邮和短信。这一系列事件使得许多人在与该公司签约前不得不反复考虑再三。 10月份，AT&T将一名有嫌疑的员工辞退。该名员工非法窃取了1600名客户的账号信息，并可能已经复制了这些客户的社保号和驾照号。 10月份，厄运降临到了文件托管服务Dropbox头上。700万用户的资料档案被泄露到互联网上。但公司宣称登录凭证是从第三方网站或应用程序那儿泄露出来。无论公司如何努力保护其服务的安全，但在用户的懈怠和无知面前依然素手无策。如果’123456’密码依然是大部分用户首选的话，在未来还将发生更多的数据外泄事件。 被盗数据的市场价格

索尼黑客事件似乎为这个原本就精彩缤纷的圣诞节又增色不少。如果这一消息属实的话，之前被讨论得沸沸扬扬的纯喜剧片《采访》（由索尼出品）将不得不被迫取消上映。该部电影的故事主要围绕着两名被准许采访朝鲜最高领袖金正恩的美国记者展开，随后的剧情还讲到他们如何被授命刺杀朝鲜的专制独裁者。 2011年春天，索尼的PS网络因遭受黑客攻击而被迫关闭1个月之久，从而成为这一令其蒙羞的重大安全事件中的主角，显然索尼并没有从中吸取了足够教训。 此次事件整个过程大致如下： 首先，索尼影业遭到一伙宣称与朝鲜民主主义人民共和国结盟的黑客小组的攻击。随后，这群黑客开始将盗取的索尼公司专有资料随机发布在互联网上，包括：电影、即将拍摄或上映电影的剧本、敏感员工的医疗信息以及内部电邮脱机文件。最后，黑客还威胁如果《采访》上映的话就将攻击电影院，全美最大连锁影院- Regal Cinemas院线随即表示不会安排播放该部电影，而索尼最终也决定将《采访》无限期推迟上映。 通常来讲，背后有政府资助的黑客小组在进行黑客攻击时，行事都尽可能地隐秘。 大众舆论一致认为朝鲜政府是这一黑客攻击事件背后的黑手。此外，对此持怀疑态度的观点也同样不少，且有充分的理由支持。通常来讲，背后有政府资助的黑客小组在进行黑客攻击时，行事都尽可能地隐秘。你随便找出一个高级持续性威胁小组或黑客活动，都无法准确说是哪一个特定国家所为。从黑客攻击者的角度看，其攻击目的也同样无法100%确定。通过结合事实来分析其攻击目的，在互联网上显然无法奏效。 在这一事件中，宣称为这一攻击负责的黑客小组显然通过大量台式电脑在索尼网络上发布了一张色彩艳丽、荒谬和吓人的骷髅图像。大多数APT攻击小组根本不会在受感染网络上宣扬自己的存在。相反，这一”和平守护者”小组却发布了一些针对索尼、电影观众以及广大美国公众的严重威胁。 但问题依然存在：在某种程度上，索尼攻击事件的背后是否真有朝鲜政府参与？Threatpost和各大安全新闻媒体都采用了美国政府的观点，报道了朝鲜事实上的确参与了索尼攻击事件。就在新闻出版当日，美国政府所公布的事件细节依然不足，但预计在今天晚些时候美国白宫方面还将有更多的详细内容公布。 这留给了怀疑论者大量的想象空间，认为朝鲜政府参与了#索尼黑客事件# 另一方面，美国科技新闻评论网（Wired）坚持其观点，并进一步表示目前没有任何证据显示朝鲜政府与索尼黑客事件有丝毫的关联。Wired不仅搬出了黑客事件普遍难以指定到特定群体的理由，还援引了索尼和美国联邦调查局（FBI）的声明–双方均公开表示没有任何证据能够将朝鲜政府与此次攻击事件联系起来–同样也是遭怀疑的理由。我们很难反驳Wired的观点。你是否能想象一个国家的政府会仅仅因为一部极度荒谬的电影而公然攻击一家外国企业？ 事实上，还可能有许多理由。 The Sony hack is extremely worrying. Hackers using real-world terror threats and achieving their goal is really

在保护你的个人数据、银行档案和其它各类重要信息的整条安全链中，你知道哪个环节是最薄弱的一环吗？其实就是你自己。多年以来，安全系统真正无法抵御的最大威胁即是人为因素。 如今，来自于安全部门的IT专家们给出了关于”可行和禁行”问题的答案：为员工设定过多的禁止行为会使他们开始无视公司规定或无法高效工作。反过来，赋予他们过多自由则会将公司重要信息至于风险之下并使他们宝贵的个人档案资料迅速遗失。 将你的密码遗留在”付款台”上：”请勿打扰”并不适用于房内平板电脑, https://securelist.com/blog/research/67318/leave-your-passwords-at-the-checkout-desk/ …（@dimitribest） 当意识到我们自己才是造成个人数据外泄的罪魁祸首时，才恍然大悟。每次，当你在未知设备上输入你的个人账户信息后，离开时会话依然开启，这时你的个人数据极易遭受攻击。有时候你所遗留的很可能是一些极其重要的信息。比如，可能连接你信用卡的Apple ID和Google Wallet（谷歌钱包）。遗憾的是，在我们使用移动设备时，只有一部分人会想到这一点。 让我们来说一个真实发生的事件，恰巧就让我们GReAT团队专家Dmitry Bestuzhev碰到了。 @dmitribest在酒店房间的房内iPad中发现了属于之前房客的大量#个人数据# 除了提供其他优质服务以外，许多酒店还为房客精选准备了免费的平台电脑（机场和饭店也有类似服务）。房客们常常会用来玩乐和消磨时间；此外，还可用于浏览Facebook的最新内容、查看自己的iMessages和电子邮箱，或者还可访问Google阅读新闻，登录Play Store下载最新上架应用，进行视频通话或访问互联网进行各种放松和娱乐活动。 Dmitry在使用房内iPad时大为惊讶：平板电脑上竟然遗留了之前许多房客的大量私人信息。 Dmitry在酒店房间内也发现一台免费的iPad。他在使用这台设备时大为惊讶：平板电脑内遗留了大量属于之前一些房客的私人信息。 你无需是IT高手就能轻松收集各种保存于这台iPad 的数据，其中有带预存密码的遗留账号、社交网络上的授权会话、来自浏览器的搜索结果（包括查询色情内容的其他历史记录）、自动保存至通讯簿的全部联系人列表和iMessages消息，甚至还有怀孕日期计算器。 要查明这名粗心大意的孕妇身份其实并不难，因为她”大方地”将自己的个人联系信息留在了这台设备内。大部分会话处于开启状态，这意味着如果有不法分子想冒充这些房客发布或发送讯息将变得非常容易。可以想象一下，如果有人冒充你写一些下流的内容发给你的老板或同事，其结果可想而知。 Dmitry花了点时间Google了一下，发现其中有些房客竟然为政府工作。如果有人利用这些数据访问公司信息的话，无疑将导致一次严重的数据外泄事件。 很容易让人想起类似数据盗窃的场景。犯罪分子完全能够在你办理入住手续前先潜入房间并安装应用，从而追踪你的密码和其他信息。在成功盗窃后，犯罪分子可采用多种方式以达到其犯罪目的：对受害人进行勒索、在网络上发布不宜照片（你还记得詹妮弗•劳伦斯的照片泄露事件吗？）以及使用你的iTune下载大量收费音乐文件等等。 因此，我们在使用公共设备时一定不能粗心大意。为了保持个人数据的安全，可遵循以下简单的使用规则。首先：永远使用强大的密码。其次：只连接可靠且安全的Wi-Fi网络。最后：在涉及个人信息时，只使用自己携带的设备（从目前恶劣的网络安全状况来看，这意味着永远都需要遵循）。简而言之，公用设备是万不得已下的最后选择—建议永远也不要使用。 如何记住强大且唯一的密码 http://t.cn/R7ItkKq —— 尤金-卡巴斯基

Brian Krebs于近日发表的一篇报道中强调了重要的一点：在线数据，尤其是个人敏感数据遭泄的风险正与日俱增。这并非危言耸听，而的确是从某未知来源获得的可靠消息。 本周，Krebs报道了一家债券保险商由于服务器配置错误而造成一连串连锁反应，最终导致长达230页的在线账单遭外泄，并能通过搜索引擎索引。据称，这些账单内容包括了账号和汇款路线号码、账户余额、股息以及少数本地政府投资池会员账户的持有人姓名。 据称，这些账单内容包括账号和汇款路线号码、账户余额、股息以及少数本地政府投资池会员账户的持有人姓名。 该家受害债券保险商是MBIA Inc.的一家子公司，据报道是美国最大的保险供应商，公司全名叫做Cutwater Asset Management。 好消息是，MBIA Inc.表示已修复了导致数据外泄的问题，并将逐一联系本次事件受影响的公司客户。 坏消息是，正如在Krebs报道中简要描述的那样，”可通过搜索引擎索引的文件包括了详细的授权新银行账户的操作方法，包括：所需用于提交账户信息的表格和传真号码。” 与最近发生的家得宝、Target、摩根大通及其它数据外泄事件相比（参见我们最新一期的网络安全播客），本次数据外泄事件可以说是”小范围”事件。 从某未知来源获得的可靠消息，遭受#数据外泄#的风险正与日俱增。 然而，事实是该数据外泄事件对不幸受到波及的客户都可能会造成不利影响，另外本次事件之所以值得我们重视，原因在于只是由于一个简单且通常会被忽略的服务器配置错误所导致。

在网络安全播客改版后的首期节目中，来自Threatpost的Brian Donohue和Chris Brook对时下有关网络安全的热门话题展开了讨论，讨论内容包括：家得宝客户数据外泄事件；iCloud女星艳照门事件对iPhone 6推出造成的影响；微软trustworthy computing部门时代的终结；以及必不可少的，互联网广为传播的Bash bug（也叫做”Shellshock漏洞”），影响了Linux和Unix系统。 数据外泄 TripAdvisor的子公司Viator（于今夏以2亿美元被前者收购）告知了1400万客户其包括用户名和密码在内的个人数据遭到外泄。该事件还波及到了三明治连锁公司Jimmy John’s，它的216家分店和108家餐厅遭受影响，该连锁公司也同样在其官网上刊登了有关此次数据外泄事件的通知。Goodwill也确认公司遭受长达18个月的客户数据外泄，受影响客户数量尚未得知。家得宝则遭受到有史以来最为严重的一次数据外泄，竟然波及到5600万张支付卡，受影响范围远超Gmail数据外泄事件（于2013年爆发的该事件造成马萨诸塞州20%居民的个人数据遭到外泄）。 苹果 在9月，苹果终于揭开了其年度9月产品的神秘面纱。不幸的是，苹果新产品发布时间恰巧正值影响恶劣的iCloud入侵事件爆发不久，因此对其造成的影响可见一斑。在此次事件中，众多好莱坞女星的私密照片遭到曝光，并公然发布在互联网上。苹果随即采取措施，不仅扩大了iCloud双重认证的安全级别，并随即修复了显然会导致数据外泄的登陆限制漏洞。总部位于加利福尼亚州库比蒂诺的苹果公司还发布了iOS8系统，正如苹果首席执行官蒂姆•库克（Tim Cook）所宣称的那样，苹果无法查看用户的email或iMessage内容，也没有能力将此类内容信息交予执法机构。 Trustworthy Computing小组 微软宣布将解散trustworthy computing小组，该工作小组10年如一日始终奋战在网络安全领域的第一线。微软公司表示正在计划将其多个安全业务更完整地整合入公司，并将trustworthy computing小组的各成员安排到公司的其他各支团队中，共同致力于开发特定产品和项目。 Bash 一种在互联网上广泛传播的bug，也叫做”Shellshock漏洞”，在Bourne Again Shell bug（Bash）中出现。我们曾在近期写过一篇有关的文章，其中详细解释了什么是”Bash漏洞”及其影响甚广的原因。 # 网络安全播客#：@Threatpost #安全记者#@TheBrianDonohue和@Brokenfuses讨论#shellshock#和其它新闻。

最近针对Community Health Systems的一起数据外泄事件充分暴露了联网医疗设备所面临的实实在在的现实风险，事件据称是中国黑客所为，造成约450万病人的敏感医疗信息被窃。 还记得Heartbleed漏洞吗？ Heartbleed的漏洞存在于OpenSSL，出现于今年早些时候。这一漏洞曾一度对超过60%的互联网造成影响，并在理论上能让网络攻击者在客户端到服务器连接过程中窃取一定数量的信息。这可能是第一起发生在现实生活中并造成广泛影响的互联网事件：网络犯罪分子或国家行为者几乎利用了整个网络资源来谋取私利。尤其需要指出的，网络攻击者还开发出了一种漏洞利用程序，能让他们使用Heartbleed漏洞来窃取Community Health Systems网站的登录凭证。 哪些人因此而受到影响？这一切又是如何发生的？ 这一事件中的450万名受害者都在过去5年里接受了Community Health Systems医生的医疗服务，不幸中的万幸，他们的医疗和支付信息并未因此而泄露；但最让人担心的是，他们的社会安全号（SSN）全部遭到泄露。除了社会安全号以外，一起被盗的还有病人的姓名、地址和出生日期，甚至还有受害人的雇主或担保人以及电话号码。 由于本次事件中的攻击者很可能是一些高级持续性威胁行为者，因此人们还抱有一丝侥幸。他们的目标很有可能并不是消费者的社会安全号。事实上，来自Crowdstrike和其他安全公司的专家们都表示这些攻击者可能只是在寻找与医疗系统相关的知识产权，使中国能够将其运用在对本国老龄化人口的照料上。 在本次 “APT 18″黑客小组（也叫做”Dynamite Panda”）的攻击行动中，最终以失败而告终。因为要处理数量如此庞大的敏感信息并不是一件容易的事情。 更大的问题 近年来医疗保健数据外泄情况时有发生，但有关方面依然没有尽快改进的打算。原因如下： 每当谈到医疗设备的安全问题时，人们总会异想天开，甚至有一些可怕的想法：比如，使用笔记本电脑入侵胰岛素泵和心脏起搏器，以达到伤害和谋杀病人的目的。但幸运的是，就近期我从Black Hat大会了解到的情况来说，所有患病需嵌入式和/或联网医疗设备治疗的病人被人用笔记本电脑杀害的可能性微乎其微。事实上，Rapid7医疗设备安全专家Jay Radcliffe表示所有联网医疗设备对于病人的疗效巨大，且几乎不会造成什么损伤。 似乎眼下这个问题对病人的影响更加全方位，且数量上呈现上升趋势。这些问题更多地与医生和医院，甚至医疗设备的存放、共享以及访问权限有关。Radcliffe在与我们的一次讨论会中指出，如果说联网医疗设备会对病人安全造成影响的话，那最大的可能是由于黑客入侵或意外事件导致医疗记录遭到篡改或更改，从而使病人得到错误的治疗。 近年来医疗保健数据外泄时有发生，但有关方面依然没有尽快改进的打算。 在本周早些时候，心脏病专家兼作家Sandeep Jauhar博士在NPR（美国国家公共广播）的《Fresh Air》节目中接受了Terry Gross的访谈，他表示美国医疗保健体系之所以落后于其他国家，大部分原因在于美国缺乏信息共享机制。因此，要改进美国医疗保健系统并同时遵守《平价医疗法》的话，还有很多工作需要做：将更多的医疗设备进行联网；医疗保健服务提供商之间进行更多沟通；更多远程访问数据；以及较有可能实现的，更多地共享敏感医疗信息。从他的话中透出了这样的意思：采用更加先进医疗保健体系的国家已经开始进行此类的数据共享，只是数据泄露问题依然存在。 这并不是说美国医疗保健体系毫无希望。《健康保险流通与责任法案》（HIPAA）的颁布旨在部分保护消费者医疗保健信息的安全与隐私。但问题是医院和医疗设备制造商都需遵守各自的相关规定，以符合《健康保险流通与责任法案》要求。尽管如此，数据外泄情况依然不可避免，因为没有一个安全计划是完美的。每个人-无论如何努力-都最终无法避免个人数据被窃的结果。 如果受到影响会有什么后果，怎样才知道自己是否受到了影响？ Community

本周的安全新闻并不太多。但是，最近爆出最大的零售与拍卖网站eBay被黑客入侵，危及其存储用户密码的服务器，这成为本周最大的新闻。重要性方面紧随其后的是非常流行的微软Internet Explorer浏览器发现另一个零日漏洞。但除了这些坏消息外，还有好消息，三星超越指纹识别，率先探索生物特征认证新方法。此外，如以往一样，我们还将顺便谈谈一些补丁（只是顺便）。 eBay遭黑客入侵 eBay昨天通过公司官网（eBay Inc.）宣布公司的数据库遭黑客入侵，大量用户数据可能被窃，包括客户姓名、加密密码、电子邮件地址、住址、联系地址、电话号码和出生日期。加密密码就存储在被入侵的服务器内，所以未来几天或几周，eBay将强制用户更改密码。更改eBay密码时，请确保直接导航至eBay网站，而不要通过电子邮件或社交媒体链接进行更改。 不建议用户通过电子邮件或社交媒体链接访问网站的原因在于，服务器上存储的敏感信息足够被黑客用来执行网络钓鱼攻击。黑客常常利用这类信息来设计网络钓鱼电子邮件，邮件中声称是来自eBay（或其他合法网络服务）。这些电子邮件通常会向用户提供链接，以转至貌似合法的恶意网站，这些网站的目的是欺骗用户提供登录凭证。 如果您将eBay帐户的密码用于其他帐户，则需按惯常做法，更改使用了该密码的所有网上帐户的密码。 但有意思的是，本周早些时候，零售商们受Target公司数据泄露事件的刺激，刚刚决定建立威胁数据共享伙伴关系，随后就发生了eBay数据泄露。换句话说，零售商们打算就所面临的攻击彼此交流，以便能共同抗衡黑客，更好地保护自身。本周晚些时候，发布了一项研究结果，其中称公司在防止数据泄露方面已取得相当成效。eBay数据泄露的范围取决于被盗的部分eBay员工的登陆证书，但最终结果是与此研究中的观点相符还是相矛盾，让我们拭目以待。 IE零日漏洞 关于IE零日漏洞，好消息是此漏洞只影响IE浏览器的旧版本IE 8。但坏消息是微软未就何时发布相应更新来解决此漏洞给出具体时间。微软承认次漏洞相当严重，正在努力开发相应补丁。 黑客通过Internet Explorer 8零日漏洞，能利用一种名叫”路过式下载”的攻击方式，对有漏洞的计算机运行恶意代码，或者通过在电子邮件中植入恶意附件来实现攻击。”路过式下载”本质上是一种入侵攻击行为：黑客在网站上嵌入恶意软件，当用户碰巧使用有漏洞的浏览器浏览该网站时，用户的计算机就会被该恶意软件感染。 除了升级到较新的Internet Explorer V10外，正常计算机的用户还能做些什么呢？用户能做的并不多，实际上要注意以下三点：当心浏览的网站；当心电子邮件附件；确保尽快安装微软下一次发布的安全补丁（如果是自动获取更新，那么对最后一点无需担心）。事实上，所有用户都应该遵循这些建议。 虹膜识别 每周的新闻并不会总是阴云笼罩。三星本周宣布计划未来在更多产品中集成生物识别传感器，例如虹膜扫描仪。三星称这些功能甚至会部署在较低端产品中。此举将提升三星设备的安全性，而且据报告称，到时候总是让人提心吊胆的三星安全系统Knox中最终也将部署生物识别技术。 看看相对于指纹认证，虹膜扫描在应对潜在攻击的灵活适应能力方面究竟是更强还是不如，这实在是一件很有趣的事。 突发新闻 在写本文时，有报道称安卓Outlook应用含有加密问题，会泄露用户的电子邮件及附件。在此可阅读更多内容，我们在每月一次的新闻播客中必定会讨论此问题。 补丁通知 照常，我们将列出用户应该留意的补丁。本周应注意的补丁来自Google，Google发布了23个Chrome浏览器安全漏洞补丁，其中包括三个高危漏洞。所以，如果使用的是Chrome浏览器，不要等着浏览器自动安装更新，而应该尽快下载这些更新。